Questão 88 — Autenticação — OAuth 2.0, OpenID Connect e JWT (Segurança da Informação) — Cebraspe · Secretaria de Estado do Meio Ambiente do Amazonas (SEMA/AM) 2026

Segurança da Informação Autenticação — OAuth 2.0, OpenID Connect e JWT

Cebraspe 2026

Secretaria de Estado do Meio Ambiente do Amazonas (SEMA/AM) · Analista Ambiental – Especialidade: Análise de Redes

Gabarito disponível

Uma equipe de TI da SEMA/AM está projetando a arquitetura de autenticação de um conjunto de APIs internas acessadas por aplicações web e móveis. A solução deverá: (i) permitir que aplicativos clientes obtenham acesso a recursos protegidos em nome do usuário, sem expor a senha ao serviço consumidor; (ii) padronizar a autenticação única (SSO) entre múltiplas aplicações, com entrega de informações de identidade em formato de token; (iii) suportar autenticação forte com segundo fator (2FA) baseada em aplicativo autenticador ou token físico, integrada ao fluxo de login. Considerando os requisitos de governança definidos no SGSI da organização, alinhado à NBR ISO/IEC 27001, bem como as recomendações de segurança sobre autenticação robusta e controle de acesso, a equipe deve avaliar algumas opções de desenho.

Na situação hipotética precedente, a solução de autenticação que melhor atende, em conjunto, às três necessidades apresentadas consiste na arquitetura em que

Selecione uma alternativa A) cada microsserviço possua seu próprio banco de senhas e tokens proprietários, combinando autenticação por senha com 2FA por SMS, sem um provedor de identidade central. B) um provedor de identidade central aplique 2FA e exponha fluxos OAuth 2.0 com OpenID Connect, emitindo tokens de identidade em formato JWT para viabilizar o SSO. C) as APIs exijam certificados digitais de cliente para autenticação mútua TLS, dispensando tokens, e o segundo fator de autenticação seja aplicado apenas na emissão dos certificados. D) a autenticação combine biometria local em dispositivos móveis e sessões por cookies na Web, sem usar protocolos de delegação ou tokens de identidade padronizados. E) um servidor de autorização central com OAuth 2.0 emita tokens de acesso, mas a autenticação de usuários permaneça descentralizada e independente em cada aplicação.

Resolução comentada

Provedor de identidade central com 2FA, OAuth 2.0 e OpenID Connect emitindo JWT atende aos três requisitos.

OAuth 2.0 permite delegar acesso sem expor a senha. OpenID Connect, construído sobre ele, padroniza autenticação e SSO com ID token em JWT. Um provedor de identidade central pode aplicar 2FA no login, atendendo aos três requisitos em conjunto.

Análise das alternativas

A) Bancos de senhas por microsserviço, sem IdP central, impedem o SSO, e o 2FA por SMS é frágil. C) mTLS dispensando tokens não atende à delegação nem ao SSO. D) Biometria local e cookies não usam delegação nem tokens padronizados. E) A autenticação descentralizada não oferece SSO nem 2FA integrado.

Referência: RFC 6749 (OAuth 2.0); OpenID Connect Core 1.0; RFC 7519

Resolução comentada do VaiConcursos.